由于开源软件，世界反而不如以前安全了！

新睿云.任义兵

于 2019-07-03 18:00:00 发布

阅读量466

点赞数

640?wx_fmt=gif

虽然开源已经取得了巨大的进展，但有几个因素（开源社区内外的因素）对开源造成了不利。

微软最近宣布它为Windows添加Linux内核。对于大多数人来说，此举是最新的确凿证据，表明开源社区赢得了这家曾经认为Linux是威胁，前首席执行官更是抨击Linux是“毒瘤”的公司的芳心。但我不是太确信。是的，微软现在喜欢Linux，全球各地的公司现在都高度依赖开源。不过我认为这并不意味着在开源倡导者和像微软这些闭源软件公司之间的这场较量中，开源阵营实际上胜出。

640?wx_fmt=jpeg

开源的成功

不可否认，在过去的二十年间，开源软件程序及平台在市场份额和心率占有率方面取得了巨大的进展。世界上大多数智能手机都运行着拥有开源核心的操作系统：安卓。访问任何一个网站，它很可能是使用NGINX、Apache或另一种开源Web服务器系统托管的。曾经是开源界头号敌人的微软在过去的五年稳步宣布了一系列开源计划，从支持Linux上的微软SQL Server，到开源Windows计算器工具，不一而足。

顺便说一句，并不是只有微软这一家专有软件公司投身于开源潮流。其他许多历来不是开源支持者的大公司（比如亚马逊、SAP和英特尔）也为开源开发做出了巨大的贡献。

在这种背景下，很容易得出这一结论：开源社区在与微软及其他公司的较量中轻松胜出，这些公司曾经将Linux和开源视为不光对公司业务构成了严重威胁，还对知识产权和创新构成了严重威胁（至少，这是这些公司曾经拿来反对开源的理由）。

640?wx_fmt=jpeg

开源的失败

不过说到开源软件的现状，我更像是个悲观主义者。我不认为开源代码的普遍性证实了开源实际上“胜出”。

恰恰相反，我认为，从许多方面来看，对于支持自由软件潮流背后核心思想的人来说，形势从未如此艰难：当源代码透明、可以自由共享时，软件作品对所有人（开发者、用户和合作伙伴）来说更好。

不妨考虑开源软件潮流的原则（即使不是产品）今天仍然受到威胁的这几个途径：

开源“核心”。如果你看一下今天许多公司使用开源的方式，就会发现一个趋势：它们只开源产品的一部分组件。比如说，安卓和Google Chrome都基于开源代码库，但是到最终用户手里的产品并非完全开源。使用这些平台的公司可以从开源社区获得免费贡献的代码，但是它们用闭源外壳来包装产品，因而剥夺了最终用户检查或修改产品源代码的能力。
软件即服务（SaaS）。正如自由软件之父RichardStallman指出的那样，基于云的SaaS交付模式使得软件因其架构而从根本上来说是不透明、不可修改的。基于云的应用程序是不是开源不重要，因为你（最终用户）从不接触程序本身，你只是通过互联网来使用它。
安全声誉糟糕。从Equifax泄密（攻击针对开源框架）到Heartbleed漏洞（涉及开源加密库的漏洞），开源社区在IT安全方面遇到了一系列挫折。开源倡导者会指出，开源开发模式要比闭源代码中固有的“隐藏式安全”（security by obscurity）策略来得安全；不过，最近爆出的开源安全问题使开源软件在众多IT专业人员当中留下了糟糕的声誉。

640?wx_fmt=jpeg

开源是炫美德

从这些趋势来看，我往往认为，许多公司宣布开源代码库或支持开源平台时，它们实际上是在“炫美德”（virtue signaling）。换句话说，它们利用开源美化自身形象：它们是致力于技术透明、与开源社区合作的公司。

如果将自己定位于支持开源的那些公司完全信奉开源理念，它们就会完全开源其产品，而不是提供只有“核心”才是开放部分的平台。它们会拥抱新颖的许可策略，旨在限制SaaS提供商将开源项目占为已用的做法，比如Confluent在去年年底宣布的许可策略。它们会在开源安全问题上采取更坚定的立场，与开源粉丝站在一起，一道认为：只有任何人可以检查源代码并发现安全漏洞，安全才会最终变得更好。

微软Windows现在包含Linux内核很好，Facebook赞助许多非Facebook员工帮助开发的一些开源项目以支持其SaaS平台也很好。但我认为，对开源软件浪潮而言真正的成功并不是这样。